Varios paquetes npm oficiales de @redhat-cloud-services se vieron comprometidos con un gusano de robo de credenciales derivado del malware de código abierto Mini Shai-Hulud, que ataca las credenciales en la nube y las herramientas de desarrollo en los flujos de CI/CD. esta versión se autodenomina "Miasma".

En total, 96 versiones de 32 paquetes se vieron comprometidas, con un total acumulado de 116.991 descargas semanales. Dado que las herramientas se hicieron públicas, otros ciberdelincuentes ahora tienen acceso a las mismas técnicas y pueden replicarlas o adaptarlas. Los paquetes se publicaron a través de GitHub Actions OIDC, lo que indica que la canalización de CI/CD se vio comprometida, y no un token de npm. Si ha instalado alguna versión de paquete afectada desde el 1 de junio de 2026, considere comprometidos todos los secretos de CI, credenciales en la nube, claves SSH y tokens de npm, y rótelos inmediatamente.

La carga útil incrustada en los paquetes afectados presenta un gran parecido con Mini Shai-Hulud, el malware para la cadena de suministro publicado como código abierto por TeamPCP. TeamPCP es un grupo de ciberdelincuentes que lleva varios meses realizando ataques dirigidos a la cadena de suministro de CI/CD. Su malware Mini Shai-Hulud es un sofisticado gusano que roba credenciales y se propaga republicando versiones con puertas traseras de paquetes a los que la cuenta de la víctima tiene acceso.

¿Qué roba?

Al igual que en ataques anteriores de Mini Shai-Hulud, la carga útil realiza un escaneo exhaustivo de credenciales en proveedores de la nube, entornos de CI/CD y herramientas de desarrollo. En el lado de CI, apunta a secretos de GitHub Actions, incluidos GITHUB_TOKEN y ACTIONS_RUNTIME_TOKEN.
Para credenciales en la nube, recopila claves de acceso y tokens de sesión de AWS, credenciales predeterminadas de aplicaciones de GCP y archivos de claves de cuentas de servicio, y credenciales de entidades de servicio de Azure y tokens de identidad administrada. También busca tokens de HashiCorp Vault, tokens de cuentas de servicio de Kubernetes y archivos kubeconfig, tokens de publicación de npm y PyPI, claves privadas SSH, credenciales de registro de Docker, claves GPG y cualquier archivo .env que encuentre en el sistema de archivos.

Referencias
1: https://www.sourcetrail.com/javascript/alerta-maxima-en-el-ecosistema-javascript-por-un-ataque-masivo-a-la-cadena-de-suministro-de-red-hat/
2: https://unaaldia.hispasec.com/un-ataque-a-paquetes-npm-de-red-hat-distribuye-el-malware-miasma/